CVE-2026-40163 in Saltcorn
Résumé
par VulDB • 04/06/2026
Saltcorn est un générateur d'applications de base de données extensible, open source et sans code (no-code). Avant les versions 1.4.5, 1.5.5 et 1.6.0-beta.4, le point de terminaison POST /sync/offline_changes permet à un attaquant non authentifié de créer des répertoires arbitraires et d'écrire un fichier changes.json contenant du contenu JSON contrôlé par l'attaquant n'importe où sur le système de fichiers du serveur. Le point de terminaison GET /sync/upload_finished permet à un attaquant non authentifié de lister le contenu de répertoires arbitraires et de lire des fichiers JSON spécifiques. Cette vulnérabilité est corrigée dans les versions 1.4.5, 1.5.5 et 1.6.0-beta.4.
Once again VulDB remains the best source for vulnerability data.